# トレードオフ意思決定 (Tradeoff Decisions) ## 定義 トレードオフ意思決定は、インシデント対応のような限られた時間・不完全な情報のもとで、複数の望ましい結果のうちどれを優先しどれを犠牲にするかを選ぶ判断過程を指す。単一の「正解」を探す最適化問題ではなく、対応者・管理職・上級リーダーなど、組織階層上の異なる立場が異なる評価軸(復旧速度、顧客影響、法務リスク、認知負荷など)を同時に抱えながら選択を行う点に特徴がある。Maguire と Nash は、階層の上下(skip-level)をまたいで生じるこの種のトレードオフを **skip-level tradeoff** と呼んだ([[@2024__SREcon24Americas__Hard Choices, Tight Timelines - A Closer Look at Tradeoff Decisions during Incidents]])。 ## 横断的知見 - **どちらの文献も、トレードオフを「隠れた暗黙の選択」から「名指しされた明示的な選択」へ転換することを介入策の核心に据える点で一致する。** インシデント対応の skip-level tradeoff は、対応者・管理職・上級リーダーが異なる評価軸(復旧速度・顧客影響・法務リスク・認知負荷)を暗黙に抱えたまま選択を行う構造として記述される([[@2024__SREcon24Americas__Hard Choices, Tight Timelines - A Closer Look at Tradeoff Decisions during Incidents]])。build-versus-buyの意思決定でも、著者らは「金を惜しむか時間を惜しむか」という組織のデフォルト姿勢を大半のチームが自覚しないまま選択しており、これがエンジニアの職業的バイアス(build志向)やベンダー側の商業的バイアス(buy志向)、サンクコスト・NIH(not invented here)といった名指しされない前提とともに議論を歪めると指摘する。両ソースとも、対処法として「各立場が抱える評価軸・恐れを明示的にテーブルに載せる」ことを共通に推奨しており、階層間(垂直)のトレードオフと組織バイアス由来(水平)のトレードオフという異なる発生源を持つ意思決定であっても、暗黙の評価軸を可視化するという介入の型は同型であることが示唆される。(Source: [[@2024__SREcon24Americas__Hard Choices, Tight Timelines - A Closer Look at Tradeoff Decisions during Incidents]], [[@2026__OReilly__Observability Engineering 2E - Chapter 29 Build Versus Buy (Versus Open Source)]]) - **「犠牲を伴う意思決定(sacrifice decision)」(Woods, 2006)は、skip-level tradeoff の理論的先行概念として、トレードオフの評価非対称性に明示的な説明を与える**: 『SREの探求』28章は、より重大な損害を回避するために特定の損害を受け入れる意思決定を「犠牲を伴う意思決定」と呼び、Woods(2006)「Essential Characteristics of Resilience」を出典に挙げる。28章はさらに「ほぼすべてのケースで、回避する損害よりも受け入れる損害について特徴が的確に把握されている」という非対称性を指摘する——これは、Maguire と Nash が skip-level tradeoff で観察する「異なる評価軸(復旧速度・顧客影響・法務リスク・認知負荷)を暗黙に抱えたまま選択する」構造に理論的根拠を与える。すなわち、階層をまたぐ評価軸のズレの一因は、受け入れる損害(具体的で可視)と回避する損害(仮想的で不確実)という認識論的非対称性そのものにある。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] §28.4.2, [[@2024__SREcon24Americas__Hard Choices, Tight Timelines - A Closer Look at Tradeoff Decisions during Incidents]]) - **NYSE 障害(2015)と Knight Capital 破綻(2012)は、犠牲を伴う意思決定の成功例・失敗例として好対照をなす**: 28章は、NYSE が自動株価情報プロセス障害に際し取引を全面停止する決断(3時間の稼働停止という明確な損害を受け入れ、より深刻な市場の混乱という損害を回避)を成功例として挙げる一方、Knight Capital は新ソフトウェアの異常な取引を示すアラートを見過ごして 4億4000万ドルの損失に至った失敗例として対比する。28章はさらに「犠牲を伴う意思決定が成功すると、つまりより重大な脅威が回避されると、その意思決定に対して批判が出るという強い傾向がある」という皮肉を指摘しており、これは「隠れた暗黙の選択を明示化する」ことを共通の介入策とする本ページの知見に、「たとえ明示化しても、成功した犠牲は事後的に過小評価されやすい」という追加の障壁を加える。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] §28.4.2) - **本ページが「犠牲を伴う意思決定(sacrifice decision)」の出典として引く同じ書籍([[wiki/entities/Resilience Engineering|Resilience Engineering: Concepts and Precepts]], 2006)のプロローグには、"sacrificing decision" という語のより早い、しかし異なる射程での用法が現れる**: 28章が引く「犠牲を伴う意思決定」(Woods, 2006「Essential Characteristics of Resilience」)は「より重大な損害を回避するために特定の損害を受け入れる」という個別の意思決定を指すが、同じ2006年の書籍のプロローグ(Woods & Hollnagel 共著)は「犠牲的決定(sacrificing decisions)」という語を、企業が安全性への先回り型投資を行うかどうかという**組織レベルの判断**の文脈で使う——安全投資は通常、数十年でなく数か月から数年という短い時間軸で評価されるため、先回り型の安全投資は稀にしかなされないと述べる(p.1)。同一著者・同一年の書籍内で、"sacrifice(ing) decision" という語が(a) 個別インシデント対応での損害の受容(28章が引く用法)と、(b) 組織の安全投資判断における時間軸の歪み(プロローグの用法)という異なる粒度で用いられている可能性があり、両者が同一概念の異なる適用なのか、それとも別々に定式化された関連概念なのかは、当該章("Essential Characteristics of Resilience"、本書第3章相当)自体を未読のため確定できない。(Source: [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]] p.1, [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] §28.4.2) ## 未解決の問い - **プロローグの「犠牲的決定」(組織の安全投資判断)と28章が引く「犠牲を伴う意思決定」(個別インシデントでの損害受容)は同一の概念の異なる適用か、それとも別概念か**: 出典章("Essential Characteristics of Resilience")本文を未読のため未確定。(Source: [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]] p.1) - The Void のような大規模インシデントレポートデータベースは「結果」の集積には強いが「推論過程」の記録には構造的に弱い。この限界は vignette 法以外の手法(例: リアルタイムでの意思決定ログ収集)で補えるか。 - skip-level tradeoff の構造は、組織の階層数・意思決定の集権度によってどう変化するか。フラットな組織とヒエラルキーの強い組織で同じ調査を行った場合、結果は収束するか分岐するか。 - [[Followship]] が扱う対応者間の水平的な協調と、本概念が扱う階層間の垂直的なトレードオフは、同一インシデント内でどう相互作用するか。 - build-versus-buyのような組織バイアス由来のトレードオフと、skip-levelのような階層由来のトレードオフに、共通の「バイアス可視化」テクニック(例: ステークホルダーごとの評価軸を明示的に書き出すワークショップ形式)を適用した実証研究はあるか。 ## 関連 - [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]] — 「犠牲的決定」の組織投資レベルでの用法 - [[レジリエンスエンジニアリング]] - [[インシデント管理]] — 階層横断のトレードオフ構造という観点を追加する。 - [[人的要因]] — 役割による認知負荷・優先順位の違いという知見と接続する。 - [[Incident Commander]] — 単一の意思決定役割に権限が集中する構造と、階層をまたぐトレードオフの緊張関係。 - [[Followship]] — 対応者間の水平的協調(Adaptive Choreography)との対比。 - [[Build Versus Buy]] — 組織バイアス(エンジニアリング/ベンダー/サンクコスト/NIH)の可視化という共通の介入パターン。 - [[David D. Woods]] — 犠牲を伴う意思決定(sacrifice decision)の提唱者(2006) - [[複雑システム障害論]] — インシデントを複雑システム障害として捉える理論的背景 ## 出典 - [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]] — Hollnagel, E., Woods, D. D., & Leveson, N. (Eds.), *Resilience Engineering: Concepts and Precepts*, Ashgate, 2006, Prologue(p.1: 犠牲的決定と組織の安全投資の時間軸) - [[@2024__SREcon24Americas__Hard Choices, Tight Timelines - A Closer Look at Tradeoff Decisions during Incidents]] - [[@2026__OReilly__Observability Engineering 2E - Chapter 29 Build Versus Buy (Versus Open Source)]] — build-versus-buy意思決定における組織バイアスの名指しと可視化 - [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] — John Allspaw、Richard Cook, 「SRE の認知的作業」, David N. Blank-Edelman(編)『SREの探求』, オライリー・ジャパン, 2021, 28章(§28.4.2: 犠牲を伴う意思決定、NYSE・Knight Capital 事例)